特权访问管理 (PAM) 的七大基本功能

由于可以访问公司最有价值的信息，特权帐户通常是攻击者追求的目标。公司必须安全有效地管理特权访问。

许多法规为特权用户管理提供了强有力的安全控制建议。为了满足这些要求并防止灾难性数据泄漏，公司在其日常安全操作中实施了各种特权访问管理(PAM)。但是如何选择合适的聚丙烯酰胺解决方案呢？你需要找到什么功能？

Gartner 《2019 特权访问管理最佳实践》提出，一个好的PAM解决方案应该基于四个基础:

提供所有特权帐户的完全可见性治理和控制特权访问监控和审计特权活动自动化和集成PAM工具@

本文根据这四个基础列出了PAM最重要的功能，以帮助公司保护对敏感数据的特权访问。

1. 持续发现特权账户

你不能保护你看不见的东西。因此，发现网络中的每个特权帐户是一项必要的功能。PAM解决方案应该能够发现人类用户和应用程序使用的各种特权帐户。

只要您对网络中的所有特权帐户都有完全的可见性，您就可以轻松地删除不必要的管理员帐户，并指定哪些帐户或哪些特定用户可以访问哪些关键资产。此外，可以通过删除所有默认管理员帐户来降低系统安全性，以实现最小权限原则或零信任安全方法。

实现这些功能的最大挑战是保持特权帐户相关数据的更新。只要在权力提升方面有任何失误，公司的网络安全就会面临严重风险。

2. 多因子身份验证

多因素身份验证(MFA)是确保只有合适的人才能访问关键数据的必要方法。这种方法还可以降低恶意内部人员“借用”同事密码的风险，并防止内部人员威胁。

大多数MFA工具提供了两个身份验证因素的组合:

实现此功能的主要挑战之一是定义哪些终端和资产需要最严格的保护。为了避免给员工造成太多的麻烦，MFA功能只能在必要的时间和地点实现。

3. 会话管理

许多安全供应商提供特权访问和会话管理(PASM)，作为单独的解决方案或PAM软件的一部分。监控和记录特权会话的功能为安全专家审计特权活动和调查网络安全事件提供了所有必要的信息。

实现此功能的主要挑战是将每个记录的会话与特定用户相关联。在许多公司，员工使用共享帐户来访问各种系统和应用程序。如果他们使用相同的凭据，不同用户发起的会话将链接到同一个共享帐户。

要解决这个问题，PAM应该能够为共享帐户和默认帐户提供二次身份验证。这样，如果用户使用共享帐户登录系统，则需要额外的个人凭据来确认特定会话是由特定用户发起的。

4. 一次性密码

确保只有正确的用户才能访问关键资产的另一种方法是部署一次性密码功能。该功能最适合授予第三方承包商对公司重要信息资产的即时访问权限。

一次性密码有效期短，不能重复使用，从而降低了数据泄露的风险。

5. 用户及实体行为分析 (UEBA)

用户和实体行为分析(UEBA)工具有助于对特权帐户被盗的事实进行早期预警。UEBA工具分析其他PAM工具记录的数据，包括会话记录和日志，以识别常规的用户行为模式。如果特定用户或实体的行为开始偏离其典型模式，系统会将其标记为可疑。UEBA工具旨在帮助填补其他安全工具的空白，并尽早检测入侵。

目前，市场提供大量UEBA工具，包括独立的UEBA解决方案和嵌入UEBA功能的安全解决方案。为了正确管理特权访问，PAM或安全信息和事件管理(SIEM)解决方案最好包括UEBA功能。

6. 实时通知

越早停止攻击，攻击的影响就越小。但是，如果您希望能够及时响应潜在的安全事件，收到警报通知的时间应该接近实时。因此，在选择特权访问管理解决方案时，一定要检查它是否有良好的报警系统。

大多数PAM解决方案都提供一套标准的规则和警报。例如，每次系统记录特权帐户登录失败时，都会通知安全负责人。或者，特定事件、活动甚至用户组创建自定义警报。

7. 详尽报告与审计

PAM工具通常收集大量数据:活动日志、键盘记录、事件日志、会话记录等。然而，如果不能从中生成详细的报告，PAM解决方案将徒劳地收集更多有用的数据。因此，有必要具备根据特定需求生成不同类型报告的能力。

特别注意报告中可以包含的数据和信息的类型。例如，如果生成的报告可以包括特权帐户执行的所有活动或在非正常工作时间启动的所有特权会话，那么安全保护效果会好得多。

在某些情况下，取证分析需要调查安全事件或评估当前安全系统的状态。因此，所选择的特权访问管理解决方案最好具有取证导出功能。

将PAM解决方案与当前的SIEM集成也是一个额外的好处。这可以最大限度地利用PAM工具收集的数据，以更有效的方式分析潜在威胁。滥用

结语

特权访问会导致灾难性后果，使攻击者能够轻松收集最有价值和最重要的信息。大多数法规遵从性法规还要求特权访问得到适当的保护和管理，尽管有时这一要求是间接的。因此，部署优秀的PAM解决方案是每个现代企业的必要步骤。

我希望本文中描述的指标能帮助您尽快找到最好的特权访问管理解决方案。